a kérdőív azt kérdezi, hogyan kezeljük szállítóink kockázatait

A lánc biztonsága a tíz kötelező intézkedés egyike

Ez nem csupán egy további kérdés: a ellátási lánc biztonsága az NIS2 21. cikk (2) bekezdésében külön részként kerül megemlítésve a másik kilenc intézkedés mellett, mint például a kockázatelemzés, az incidenskezelés és a hozzáférés-ellenőrzés. Az ezt a kérdést feltevő ügyfél ellenőrzi, hogy a vállalkozása hátrafelé is tekint-e: nemcsak a saját biztonsága, hanem azoknak a feleknek a biztonsága is, amelyektől függenek. Ez összhangban áll a biztonsági követelményekkel, amelyeket a vállalkozás saját beszállítóira érvényesít — ugyanez az elv, egy lépéssel tovább a lánc mentén.

Konkréten általában három dolog után kérdeznek: van-e politikájuk vagy folyamatuk a szállítók cyber-kockázatra vonatkozó értékeléséhez, kitűznek-e szerződéses követelményeket (gondoljunk az incidensek bejelentési kötelezettségére, minimális biztonsági szintekre), és figyelemmel kísérik-e azt a szerződés aláírása után is. Ha nincs meg ez a folyamat, akkor az "nem" egy rövid magyarázattal teljesen megfelelő válasz — jobb, mint egy "igen", amit nem lehet alátámasztani. Van ugyan szállítóértékelésük, de nincs külön cyber-modul, akkor nevezze meg azt pontosan így: a bizonyíték meg kell, hogy egyezzen azzal, amit beír. Az ISO 27001-tanúsítvány Annex A-val általában lefedi ezt a témát, tehát ha az a vállalkozás ISO 27001-tanúsított akkor ez gyakran a leggyorsabb bizonyíték a beadáshoz.

Ezek forrása: a 21. cikk (2) bekezdése és az A melléklet

Az NIS2 21. cikk 2. bekezdésének tíz intézkedése a lánc biztonságát külön pontként említi, az általános kockázatanalízistől függetlenül. Az ISO/IEC 27001 ezt tovább fejleszti az Annex A szabályozó intézkedéseiben, konkrétan az szállítói kapcsolatokra és az azokra vonatkozó követelményekre összpontosítva. A Kiberbiztonság törvénye ezt a kötelezettséget átveszi a magyar jogrendbe és 2026. augusztus 15-én lép hatályba — egyelőre az EU-irányelv maga az adatforrás, és az ügyfél a gyakorlatban gyakran már előre anticipál erre.